Peneliti keamanan saka Wordfence lan WebARX wis ngenali sawetara kerentanan mbebayani ing limang plugin kanggo sistem manajemen konten web WordPress, kanthi total luwih saka sejuta instalasi.
- ing plugin , sing duwe luwih saka 700 ewu instalasi. Masalah kasebut dirating Tingkat Keruwetan 9 saka 10 (CVSS). Kerentanan ngidini pangguna sing wis dikonfirmasi kanthi hak pelanggan kanggo mbusak utawa ndhelikake (ngganti status dadi draf sing ora diterbitake) kaca situs kasebut, uga ngganti konten dhewe ing kaca kasebut.
Kerentanan ing release 1.8.3. - ing plugin , kanthi jumlah luwih saka 200 ewu instalasi (serangan nyata ing situs direkam, sawise wiwitan lan katon data babagan kerentanan, jumlah instalasi wis suda dadi 100 ewu). Kerentanan kasebut ngidini pengunjung sing ora sah kanggo mbusak isi database situs lan ngreset database menyang negara instalasi anyar. Yen ana pangguna sing jenenge admin ing basis data, kerentanan kasebut uga ngidini sampeyan entuk kontrol lengkap ing situs kasebut. Kerentanan kasebut disebabake kegagalan kanggo keasliane pangguna sing nyoba ngetokake prentah khusus liwat skrip /wp-admin/admin-ajax.php. Masalah didandani ing versi 1.6.2.
- ing plugin , digunakake ing 44 ewu situs. Masalah kasebut diwenehi tingkat keruwetan 9.8 saka 10. Kerentanan kasebut ngidini pangguna sing ora dikonfirmasi kanggo nglakokake kode PHP ing server lan ngganti akun administrator situs kanthi ngirim panjalukan khusus liwat REST-API.
Kasus eksploitasi kerentanan wis direkam ing jaringan, nanging nganyari kanthi fix durung kasedhiya. Pangguna disaranake mbusak plugin iki kanthi cepet. - ing plugin , cacahe 60 ewu instalasi. Jeksa Agung bisa ngetokake wis diutus tingkat keruwetan 8.8 saka 10. Kerentanan ngidini sembarang pengunjung asli, kalebu sing duwe hak pelanggan, kanggo escalate hak istimewa kanggo administrator situs utawa entuk akses menyang panel kontrol wpCentral. Masalah didandani ing versi 1.5.1.
- ing plugin , kanthi udakara 65 ewu instalasi. Masalah kasebut diwenehi tingkat keruwetan 10 saka 10. Kerentanan ngidini pangguna sing ora dikonfirmasi nggawe akun kanthi hak administrator (plugin ngidini sampeyan nggawe formulir registrasi lan pangguna mung bisa ngliwati lapangan tambahan kanthi peran pangguna, nemtokake tingkat administrator). Masalah didandani ing versi 3.1.1.
Kajaba iku, bisa dicathet jaringan kanggo nyebarake plugin Trojan lan tema WordPress. Para panyerang nempatake salinan bajakan saka plugin sing dibayar ing situs direktori fiktif, sing sadurunge wis nggabungake lawang mburi kanggo entuk akses remot lan ndownload perintah saka server kontrol. Sawise diaktifake, kode angkoro digunakake kanggo nglebokake iklan sing ala utawa ngapusi (contone, bebaya babagan kudu nginstal antivirus utawa nganyari browser sampeyan), uga kanggo optimasi mesin telusur kanggo promosi situs sing nyebarake plugin sing mbebayani. Miturut data awal, luwih saka 20 ewu situs dikompromi nggunakake plugin kasebut. Antarane korban ana platform pertambangan desentralisasi, perusahaan dagang, bank, sawetara perusahaan gedhe, pangembang solusi kanggo pembayaran nggunakake kertu kredit, perusahaan IT, etc.
Source: opennet.ru